По роду своей профессиональной деятельности мне часто приходится давать разного рода экспертные оценки для СМИ о кибератаках и безопасности компьютерных систем.
Буквально недавно мне позвонили из «Голоса России» и попросили прокомментировать ситуацию с безопасностью портала Госуслуги.
рф.
Вот цитата: «Россия автоматизирует процесс документооборота, что повышает ее конкурентоспособность в глазах других государств.
Поэтому безопасность портала госуслуг является ключевым понятием.
Необходимо создать систему, которая бы повысила конфиденциальность информации на техническом, административном и организационном уровнях.
Нам нужна комплексная система защиты, которая будет работать постоянно».
Связь: rus.ruvr.ru/2010/06/03/9011959.html После разговора с журналистом я сам заинтересовался, насколько система безопасности сайта соответствует предъявляемым к нему требованиям.
И я решил зарегистрироваться под чужим именем.
Описываю дальнейший алгоритм моих действий.
1. Чтобы получить доступ к порталу, скажем от имени Ивана Ивановича Иванова, нам необходимо: — ИНН Иванова И.
И.
— Страховое свидетельство государственного пенсионного страхования — Регистрационные данные Иванова И.
И.
- причем эти данные не проверяются и поэтому вы можете указать любые, главное, чтобы после того, как письмо придет на этот адрес, вы смогли его получить.
Для этих целей мы покупаем «серую» базу данных ИНН и свидетельств пенсионного страхования на любом рынке типа «Горбушки», «Совка», «Митинки».
В принципе, на каждом перекрестке, пока вы стоите в пробке, к вам обязательно подбегут и предложат такую базу.
Приобретя его, зарегистрируйтесь на портале госуслуги.
рф.
2. Последний этап регистрации – получить заказное письмо на ранее указанный адрес и ввести код в соответствующее окно регистрации, которое указано в письме.
Как оказалось, на этом этапе скрыта самая очевидная угроза во всей системе безопасности, а именно человеческий фактор! Львиная доля сотрудников почты никогда не проверяют ваш паспорт! В моем случае, как видно из видео ниже, спросили: «Вы заполнили паспортные данныеЭ» Вот и все! Таким образом, любой желающий может зарегистрироваться, используя ваши данные на сайте госуслуги.
рф.
К чему это может привести, думаю, объяснять не нужно! Вот как получился бесплатный аудит безопасности сайта для Минкомсвязи РФ Теги: #хакер #взлом #дыра #безопасность #утечка #информационная безопасность
-
Объяснение Необъяснимого. Часть 4
19 Oct, 24 -
Наука О Данных — Это Пузырь?
19 Oct, 24
